NỘI DUNG

Mức độ đe dọa thảm khốc của hai lỗ hổng thực thi mã từ xa không cần xác thực

Ngôn ngữ lập trình PHP – nền tảng công nghệ đang âm thầm vận hành phần lớn mạng internet toàn cầu – vừa bị phát hiện hai lỗ hổng bảo mật nghiêm trọng cùng đạt điểm số 9,2 trên thang đo độ nguy hiểm CVSS v4.0. Trong thông cáo an ninh khẩn cấp, nhóm phát triển PHP đã hối thúc tất cả người dùng và quản trị viên hệ thống trên toàn thế giới phải tiến hành nâng cấp ngay khi các bản vá chính thức được phát hành vào lúc 14 giờ GMT ngày thứ Tư.

Theo Đội Ứng cứu Khẩn cấp Máy tính của Liên minh Châu Âu (CERT-EU), mức điểm 9,2 chỉ ra nguy cơ cực kỳ nguy hiểm về khả năng thực thi mã từ xa mà không cần xác thực (unauthenticated remote code execution). Lỗ hổng này cho phép tin tặc gửi các gói lệnh độc hại qua mạng internet để trực tiếp chạy các đoạn mã tùy ý trên máy chủ mà không cần có tài khoản đăng nhập, từ đó đánh cắp toàn bộ dữ liệu cơ sở dữ liệu, thay đổi giao diện trang web hoặc chiếm đoạt toàn quyền kiểm soát hệ thống hạ tầng máy chủ.

"Các tổ chức cần chuẩn bị sẵn sàng để vá lỗi ngay lập tức cho các tài sản bị ảnh hưởng; những đơn vị chưa thể triển khai cập nhật nên cân nhắc việc tạm thời ngắt kết nối website khỏi môi trường mạng." - Cơ quan An ninh Mạng CERT-EU

Điểm nguy hiểm 9,2/10: Lỗ hổng cho phép kẻ tấn công thực thi mã độc từ xa qua mạng mà không cần bất kỳ bước xác thực danh tính nào.